【缝隙公告】JetBrains TeamCity 未授权反序列化远程代码执行缝隙(CVE-2026-63077)
颁布功夫 2026-08-10一、缝隙概述
JetBrains TeamCity是一款持续集成与持续交付（CI/CD）服务器，用于自动化软件构建、测试和部署流程 。TeamCity通过中央服务器协调构建工作，并由构建代理（Build Agent）执行具体工作，支持项目治理、版本节造集成、自动化构建和持续交付等职能，宽泛利用于软件开发和企业DevOps环境 。
2026年8月10日，Z6人生就是博安全应急响应中心（VSRC）监测到JetBrains TeamCity 未授权反序列化远程代码执行缝隙 。该缝隙存在于TeamCity Agent polling protocol处置流程中，由于XStream反序列化组件在配置允许列表时未断根默认类型权限，导致攻击者可利用未经身份认证的HTTP或HTTPS要求触发不安全对象反序列化 。攻击者无需有效痛处即可向受影响TeamCity服务器发送机关的XML数据，利用对象机关链执行操作系统号令 。成功利用该缝隙后，攻击者可在TeamCity服务器过程权限领域内执行肆意代码，可能导致服务器被齐全节造 。
二、影响领域
JetBrains TeamCity < 2026.1.3
JetBrains TeamCity < 2025.11.7
三、安全措施
3.1 升级版本
官方已颁布建复补丁，以建复该缝隙
JetBrains TeamCity >= 2026.1.3
JetBrains TeamCity >= 2025.11.7
下载链接：
https://www.jetbrains.com/teamcity/download/
3.2 一时措施
暂无 。
3.3 通用建议
定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。
加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。
使用企业级安全产品，提升企业的网络安全机能 。
加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度 。
启用强密码战术并设置为定期批改 。
3.4 参考链接
https://www.jetbrains.com/privacy-security/issues-fixed/
https://www.rapid7.com/blog/post/ra-unauthenticated-rce-in-jetbrains-teamcity-cve-2026-63077/
https://www.cve.org/CVERecord?id=CVE-2026-63077
京公网安备11010802024551号